CISA suma PAN-OS, Cisco y Ahsay a su catálogo de explotación activa

Qilin e INC ya usan la falla de PAN-OS para saltarse el MFA, y Ahsay vuelve al catálogo porque su primer parche no cerró el agujero. Los tres productos tienen presencia significativa en infraestructura chilena, aunque no hay víctima local confirmada.

Qué pasó

CISA incorporó cuatro vulnerabilidades a su catálogo KEV con evidencia de explotación activa:

• CVE-2026-0322 — Inyección de código en PAN-OS (Palo Alto Networks). Según TheHackerNews, Palo Alto liberó parche para una falla de RCE autenticada en PAN-OS; de forma independiente, el mismo medio reporta que los grupos de ransomware Qilin e INC ya la explotan para evadir MFA y lograr acceso inicial a redes corporativas.
• CVE-2026-76519 — Path traversal en Cisco Secure Email Gateway. CSA Labs publicó una nota técnica que describe el camino hasta ejecución con privilegios de root a través de un adjunto de correo malformado. Cisco ya había advertido de ataques activos contra este gateway el mismo 14 de octubre.
• CVE-2026-105133 y CVE-2026-105134 — Autenticación deficiente e inyección de comandos en Ahsay AhsayCBS (plataforma de backup usada por proveedores de servicios gestionados). TheHackerNews documentó que las versiones afectadas ya fueron explotadas previamente para desplegar web shells y, en otra oleada, mineros XMRig camuflados como Microsoft Edge. El fabricante había liberado un primer parche que no cerró completamente el problema; esta es la corrección definitiva.

CISA no detalla en el aviso el vector exacto de compromiso para cada caso — eso lo aclaramos porque no está en la fuente —, pero la inclusión en KEV certifica que la explotación activa ya ocurrió, no que sea teórica.

Por qué importa acá

Los tres productos no son software de nicho: PAN-OS es uno de los firewalls perimetrales más usados en banca, retail y organismos públicos chilenos; Cisco Secure Email Gateway protege el correo corporativo de muchas empresas medianas y grandes; AhsayCBS es común en la oferta de proveedores de servicios gestionados (MSP) que dan backup como servicio a pymes.

Evaluación — confianza alta: que un grupo de ransomware use esta falla para evadir MFA es particularmente grave porque rompe el supuesto habitual de que el segundo factor contiene el acceso inicial. Si el perímetro (firewall o gateway de correo) es el punto de entrada, el atacante nunca necesita robar una contraseña ni un token: entra por la vulnerabilidad del dispositivo mismo.

Evaluación — confianza media: no tenemos evidencia de una organización chilena comprometida por estas cuatro CVE específicas. Lo que sí es verificable hoy es cuántos activos con estas versiones están expuestos a internet — eso se revisa con un escaneo de exposición, no con una suposición.

Anatomía del ataque

Mapeo a marcos públicos, para que puedas cruzarlo con tu propia matriz de cobertura.

• T1190 — Los tres productos —PAN-OS, Cisco Secure Email Gateway y AhsayCBS— son aplicaciones expuestas en el perímetro; las cuatro CVE son explotadas directamente desde la red externa sin interacción del usuario.
• T1556 — Según el reporte de explotación por Qilin e INC, CVE-2026-0322 se usa específicamente para evadir el desafío de MFA en PAN-OS, no para robar la credencial sino para saltarse el segundo factor.
• T1068 — CVE-2026-76519 en Cisco Secure Email Gateway alcanza ejecución con privilegios de root a partir de un path traversal en el procesamiento de adjuntos, según CSA Labs.
• T1505.003 — Las mismas dos vulnerabilidades de AhsayCBS fueron usadas en una oleada previa (parche incompleto) para desplegar web shells y, en otra, mineros XMRig camuflados.

title: Acceso externo a management de PAN-OS con cambio de config
id: 7f3a9c2e-4b61-4f8a-9d2e-c91a4f6b7d03
status: experimental
description: Detecta acceso a la interfaz de administración de PAN-OS desde una zona no confiable seguido de un evento de cambio de configuración, patrón compatible con explotación de CVE-2026-0322.
references:
    - https://www.cisa.gov/news-events/alerts/2026/10/14/cisa-adds-four-known-exploited-vulnerabilities-catalog
logsource:
    category: firewall
    product: paloalto
detection:
    acceso_externo:
        zone_from: 'untrust'
        dst_port:
            - 443
            - 4443
        event_type: 'mgmt-access'
    cambio_config:
        event_type: 'config-change'
    timeframe: 5m
    condition: acceso_externo | near cambio_config
falsepositives:
    - Administradores legítimos gestionando el firewall desde una VPN que termina en zona untrust
    - Integraciones automatizadas de gestión (Panorama, scripts de API) mal clasificadas en la zona
level: high

CommonSecurityLog
| where DeviceVendor == "Palo Alto Networks"
| where DeviceEventClassID in ("mgmt-access", "config-change")
| extend Zone = tostring(parse_json(AdditionalExtensions).sourceZone)
| where Zone =~ "untrust"
| summarize Eventos = count(), Tipos = make_set(DeviceEventClassID) by SourceIP, DestinationIP, bin(TimeGenerated, 5m)
| where array_length(Tipos) > 1

index=mail sourcetype=cisco:esa
| rex field=attachment_name "(?<traversal>(\.\./){2,}|%2e%2e%2f)"
| where isnotnull(traversal)
| stats count by sender, recipient, attachment_name, src_ip
| where count > 0

<rule id="100601" level="12">
  <if_sid>550</if_sid>
  <field name="file">AhsayCBS</field>
  <description>Nuevo archivo detectado en directorio de AhsayCBS tras ventana de explotación conocida (CVE-2026-105133/105134)</description>
  <group>file_integrity,ahsay,</group>
</rule>
<rule id="100602" level="12">
  <if_sid>530</if_sid>
  <field name="process.name">(msedge|edge)</field>
  <field name="process.parent">(java|tomcat)</field>
  <description>Proceso disfrazado de Microsoft Edge lanzado desde el proceso de AhsayCBS — patrón reportado de despliegue de XMRig</description>
  <group>process_monitoring,ahsay,</group>
</rule>

Fuentes

• CISACISA Adds Four Known Exploited Vulnerabilities to Catalog · 2026-10-14
• The Hacker NewsQilin and INC Ransomware Groups Exploit Palo Alto Networks Flaw to Bypass MFA · 2026-10-20
• CSA LabsCisco Secure Email Gateway CVE-2026-76519: Root via Attachment Path Traversal · 2026-10-16
• The Hacker NewsCisco Warns of Active Attacks Exploiting New Critical Secure Email Gateway Vulnerability · 2026-10-14
• The Hacker NewsPalo Alto Networks Patches PAN-OS Authenticated RCE Flaw Amid Active Exploitation · 2026-10-15
• The Hacker NewsAhsayCBS Flaws Exploited to Deploy Web Shells Get New Fixes After Incomplete Patches · 2026-10-15
• The Hacker NewsAttackers Exploit AhsayCBS Flaws to Deploy XMRig Miners Disguised as Microsoft Edge · 2026-10-09
• The Hacker NewsCISA Adds Exploited Cisco Catalyst SD-WAN Manager Auth Bypass to KEV · 2026-10-01

Relacionado